@yufengtadian/freedom-cli 1.13.2 → 1.14.0-preview

package/lib/build.js

@@ -23,6 +23,7 @@
 const fs = require('fs');
 const fsp = fs.promises;
 const path = require('path');
+const crypto = require('crypto');
 const { spawnSync } = require('child_process');
 const { copyDir } = require('./utils');
 const {
@@ -32,15 +33,22 @@ const {
   isMacPlat,
   platformExeName,
   nativePlatform,
+  normalizePlatform,
   localShellPath,
 } = require('./utils');
-const { hasShell, downloadShell, validateLocalShell } = require('./shell');
+const { buildShell, downloadShell, validateLocalShell } = require('./shell');
 const {
   SECURITY_MODES,
   resolveSecurity,
-  encryptApp,
-  buildIntegrity,
-  renderIntegrity,
+  encryptAppV3,
+  signIntegrityV3,
+  renderManifestV3,
+  shellInject,
+  keySlotForBuild,
+  loadProductKey,
+  signingKeyPath,
+  rawPubHexFromKey,
+  sha256hex,
 } = require('./security');
 
 function run(cmd, args, opts = {}) {
@@ -60,12 +68,12 @@ function run(cmd, args, opts = {}) {
   return res;
 }
 
-// --platform 解析：支持逗号 / 中英文逗号 / 空白分隔多平台；win|mac|linux|all 或平台 key（win-x64 等）。
+// --platform 解析：支持逗号 / 中英文逗号 / 空白分隔多平台；win|mac|linux|all 或平台 key
+// （win-x64 等，别名口径与 freedom shell 子命令统一走 utils.normalizePlatform）。
 // 多平台去重保留顺序。all 仅取可分发平台（DIST_PLATFORMS）：linux-arm64 无 CI 资产，
 // 若列入 all 会在 build 时 404 拖垮整个全量构建（历史 bug B41）。
 function parsePlatforms(raw) {
   if (!raw) return [nativePlatform()];
-  const keyMap = { win: 'win-x64', mac: 'darwin-arm64', linux: 'linux-x64' };
   const seen = [];
   const push = (p) => {
     if (!ALL_PLATFORMS.includes(p)) {
@@ -81,7 +89,7 @@ function parsePlatforms(raw) {
     if (v === 'all') {
       for (const p of DIST_PLATFORMS) push(p);
     } else {
-      push(keyMap[v] || v);
+      push(normalizePlatform(v) || v);
     }
   }
   if (seen.length === 0) {
@@ -106,6 +114,14 @@ async function build(projectDir, opts = {}) {
   const platforms = parsePlatforms(opts.platform);
   const autoDownload = opts.autoDownload !== false;
 
+  // 安全模式：--security 优先于 freedom.config.js 的 security 字段，默认 none。
+  //   none  = 明文资源（默认，兼容历史产物）
+  //   basic = 明文资源 + 构建期安全提示（剥符号 / 混淆）
+  //   high  = FRDM3：resources 加密为 app.bin + 发布方私钥签名的 .integrity + 本应用专属壳
+  // 判定与发布方资产门都前置于前端打包：high 缺密钥属"注定失败的构建"，不该先跑几分钟 vite。
+  const security = resolveSecurity(opts.security, cfg.security);
+  const secrets = security === 'high' ? await prepareHighSecrets(dir, name) : null;
+
   // 1) 前端打包（带缓存：源码未变更时复用上次 vite 产物，跳过 npm run build）
   // cfg.staticHtml：静态单文件页面直通——不跑 npm install / vite，用于 freedom 自己的
   // Desktop 界面自举打包（以及纯静态页项目），零网络、零依赖。
@@ -140,12 +156,7 @@ async function build(projectDir, opts = {}) {
     html = fs.readFileSync(distHtml, 'utf8');
     warnIfNotSingleFile(html, distHtml);
   }
-  const configJSON = renderConfigJSON(cfg, name);
-  // 安全模式：--security 优先于 freedom.config.js 的 security 字段，默认 none。
-  //   none  = 明文资源（默认，兼容历史产物）
-  //   basic = 明文资源 + 构建期安全提示（剥符号 / 混淆，后续可用高模式加密）
-  //   high  = resources 整体加密为 app.bin（AES-256-CTR+HMAC）+ .integrity 完整性清单，磁盘无明文
-  const security = resolveSecurity(opts.security, cfg.security);
+  const configJSON = renderConfigJSON(cfg, name, version);
 
   // 2) 后端目录（若配置了 backend 进程）
   const backendDir = path.join(dir, cfg.backendDir || 'backend');
@@ -161,7 +172,7 @@ async function build(projectDir, opts = {}) {
   const results = await Promise.all(
     platforms.map(async (plat) => {
       const targetDir = multi ? path.join(outDirPath, plat) : outDirPath;
-      const emitted = await emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer: opts.installer === true });
+      const emitted = await emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer: opts.installer === true, secrets });
       return { plat, ...emitted };
     })
   );
@@ -196,34 +207,73 @@ async function build(projectDir, opts = {}) {
   return { results };
 }
 
-async function emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer }) {
-  // 取预编译壳二进制
-  const shell = localShellPath(plat);
-  if (!fs.existsSync(shell)) {
-    if (!autoDownload) {
+// prepareHighSecrets —— high 模式（Tier B）的发布方资产门。
+//
+// 两样东西缺一不可：
+//   每产物主密钥 .freedom/keys/<app>.key —— 编译进本应用专属壳，容器 KEK 的输入；
+//   发布方私钥 .freedom/keys/update_ed25519 —— 签 resources/.integrity（与自更新清单同一把钥匙）。
+// 缺失一律拒绝构建：退回 FRDM2 那把随 npm 包公开的全域主密钥，等于签出一份谁都能伪造的清单
+// （台账 B-20260925-054）。私钥只用于签名，公钥才是注入壳的信任锚，私钥本身永不进产物。
+async function prepareHighSecrets(dir, name) {
+  const master = loadProductKey(dir, name);
+  const privPath = signingKeyPath(dir);
+  if (!fs.existsSync(privPath)) {
+    throw new Error(`缺少发布方签名私钥：${privPath}\n请先运行 freedom keygen（私钥是发布方资产，勿入库、勿分发）`);
+  }
+  const privateKey = crypto.createPrivateKey(await fsp.readFile(privPath));
+  return { master, anchorPubHex: rawPubHexFromKey(privateKey), privateKey };
+}
+
+async function emitPlatform({ plat, name, version, targetDir, html, configJSON, backendDir, hasBackend, autoDownload, icon, security, installer, secrets }) {
+  const exeName = platformExeName(plat, name);
+  const outFile = path.join(targetDir, exeName);
+  await fsp.mkdir(targetDir, { recursive: true });
+
+  // 取壳：high 模式（Tier B）编译本应用专属壳，把每产物主密钥与信任锚编进 exe；
+  // 其余模式沿用包内/下载的通用预编译壳（明文资源，无需任何注入）。
+  if (security === 'high') {
+    if (!secrets) throw new Error('internal: high 模式缺少 secrets');
+    if (plat !== nativePlatform()) {
       throw new Error(
-        `缺少平台 ${plat} 的壳二进制：${shell}\n` +
-          `可运行 freedom shell download ${plat} 下载，或 freedom shell build ${plat} 本地编译。`
+        `high 模式需要在本机编译 ${plat} 的专属壳（webview_go 依赖目标平台系统 WebView，无法交叉编译）。` +
+          `当前平台是 ${nativePlatform()}：请在 ${plat} 机器上执行 freedom build --security high，` +
+          `或该平台改用 --security basic。`
       );
     }
-    process.stdout.write(`[freedom] 本地无 ${plat} 壳，尝试自动下载...\n`);
-    await downloadShell(plat);
+    process.stdout.write(
+      `[freedom] high 模式（Tier B）：编译 ${name} 的专属壳，注入信任锚公钥 + 本次构建专属的主密钥装配码（需 Go 工具链）...\n`
+    );
+    // 主密钥不再有 -X 通道（固定掩码 = 一份脱壳器通吃所有产物，台账 B-20260925-060）：
+    // 每次构建现场生成一份只属于本产物的装配码，经 overlay 虚拟进壳的包目录，编完即弃。
+    const keySlot = keySlotForBuild(secrets.master);
+    buildShell(plat, {
+      dest: outFile,
+      inject: shellInject(secrets.anchorPubHex),
+      stageGoFiles: { [keySlot.fileName]: keySlot.source },
+    });
+    if (!isWinPlat(plat)) await fsp.chmod(outFile, 0o755);
   } else {
-    // 壳格式校验：防止 mac/linux 平台误用 Windows 假壳被静默分发（历史缺陷：shell/<darwin-*>/<linux-*> 曾误填 Windows PE 副本）。
-    const formatIssue = validateLocalShell(plat);
-    if (formatIssue) {
-      throw new Error(formatIssue);
+    const shell = localShellPath(plat);
+    if (!fs.existsSync(shell)) {
+      if (!autoDownload) {
+        throw new Error(
+          `缺少平台 ${plat} 的壳二进制：${shell}\n` +
+            `可运行 freedom shell download ${plat} 下载，或 freedom shell build ${plat} 本地编译。`
+        );
+      }
+      process.stdout.write(`[freedom] 本地无 ${plat} 壳，尝试自动下载...\n`);
+      await downloadShell(plat);
+    } else {
+      // 壳格式校验：防止 mac/linux 平台误用 Windows 假壳被静默分发（历史缺陷：shell/<darwin-*>/<linux-*> 曾误填 Windows PE 副本）。
+      const formatIssue = validateLocalShell(plat);
+      if (formatIssue) {
+        throw new Error(formatIssue);
+      }
+    }
+    await fsp.copyFile(shell, outFile);
+    if (!isWinPlat(plat)) {
+      await fsp.chmod(outFile, 0o755);
     }
-  }
-
-  await fsp.mkdir(targetDir, { recursive: true });
-
-  // 壳二进制 -> 应用可执行文件
-  const exeName = platformExeName(plat, name);
-  const outFile = path.join(targetDir, exeName);
-  await fsp.copyFile(shell, outFile);
-  if (!isWinPlat(plat)) {
-    await fsp.chmod(outFile, 0o755);
   }
 
   // 自定义 exe 图标（仅 Windows PE 支持嵌入 .ico 资源；mac 用 .icns 走 .app 分支）
@@ -261,8 +311,21 @@ async function emitPlatform({ plat, name, version, targetDir, html, configJSON,
     if (stripped > 0) {
       process.stdout.write(`[freedom] high 模式：已抹去前端页内 ${stripped} 处 source map 引用（可能含原始源码）。\n`);
     }
-    const appBin = encryptApp(name, secureHtml, configJSON, backendFiles);    await fsp.writeFile(path.join(resDir, 'app.bin'), appBin);
-    await fsp.writeFile(path.join(resDir, '.integrity'), renderIntegrity(buildIntegrity(name, appBin)), 'utf8');
+    // FRDM3 容器：KEK 由「每产物主密钥 + 应用标识 + 容器随机盐」派生，主密钥只在发布方
+    // 仓库与本应用专属壳里，公开 npm 源上没有任何一把能解开它。
+    const appBin = encryptAppV3(secrets.master, name, secureHtml, configJSON, backendFiles);
+    await fsp.writeFile(path.join(resDir, 'app.bin'), appBin);
+    // self 绑定 exe 此刻的字节，故哈希必须在图标注入之后、安装包/.app 组装之前取
+    //（后续步骤不再改写 exe 本体）。事后改写 exe（尤其补做 Authenticode 签名）会让壳拒启动。
+    const selfHash = sha256hex(await fsp.readFile(outFile));
+    const manifest = signIntegrityV3({
+      name,
+      appBin,
+      signingKey: secrets.privateKey,
+      selfHash,
+      built: new Date().toISOString(),
+    });
+    await fsp.writeFile(path.join(resDir, '.integrity'), renderManifestV3(manifest), 'utf8');
   } else {
     for (const legacy of ['app.bin', '.integrity']) {
       const p = path.join(resDir, legacy);
@@ -470,7 +533,10 @@ async function buildInstaller({ plat, name, version, targetDir, exeName }) {
   const artifacts = [];
 
   const zipPath = path.join(targetDir, `${name}-${plat}-portable.zip`);
-  const tmpPath = path.join(path.dirname(targetDir), `.freedom-portable-${process.pid}.zip`);
+  // 中间 zip 必须带平台后缀：多平台打包是并发的（emitPlatform 跑在 Promise.all 里），
+  // 而各 plat 的 targetDir 同级，只按 pid 命名会让 A 平台的 zipDir 覆写 B 平台正在 rename 的
+  // 临时文件——结果是 A 的 portable.zip 里装着 B 的二进制（静默错平台产物）或 ENOENT 崩在成功提示之后。
+  const tmpPath = path.join(path.dirname(targetDir), `.freedom-portable-${plat}-${process.pid}.zip`);
   zipDir(tmpPath, targetDir);
   await fsp.rename(tmpPath, zipPath);
   artifacts.push(zipPath);
@@ -530,9 +596,12 @@ function appVersionFromPkg(dir) {
 }
 
 // 渲染 resources/config.json（与壳 resources.go 的 runtimeConfigFile 字段对齐）
-function renderConfigJSON(cfg, name) {
+function renderConfigJSON(cfg, name, version) {
   const obj = {
     name,
+    // 应用自己的版本必须随产物落盘：通用壳编译期注入的 freedom.Version 是「壳」的版本域，
+    // 自更新拿它跟应用清单比，结果是「永远 uncomparable」或「下完更新还是同一个壳」。
+    version: version || undefined,
     title: cfg.title || cfg.name || name,
     titlebar: cfg.titlebar || 'frameless',
     width: intVal(cfg.width, 1024),
@@ -562,6 +631,14 @@ function renderConfigJSON(cfg, name) {
       requireSignature: cfg.updater.requireSignature === true ? true : undefined,
     };
   }
+  // 能力收口透传：壳在 Config.Capabilities 未编译设置时才采用这里的白/黑名单
+  // （capability.go 在 sys/tray/window 三桥派发前判定，拒绝零副作用）。
+  const caps = cfg.capabilities;
+  if (caps && (Array.isArray(caps.allow) || Array.isArray(caps.deny))) {
+    const allow = (caps.allow || []).filter((s) => typeof s === 'string' && s);
+    const deny = (caps.deny || []).filter((s) => typeof s === 'string' && s);
+    if (allow.length || deny.length) obj.capabilities = { allow, deny };
+  }
   return JSON.stringify(obj, null, 2);
 }
 
@@ -721,4 +798,4 @@ function stripSourceMapRefs(html) {
   return { html: out, stripped };
 }
 
-module.exports = { build, parsePlatforms };
+module.exports = { build, parsePlatforms, renderConfigJSON, prepareHighSecrets };

package/lib/cli.js

@@ -5,7 +5,7 @@ const path = require('path');
 const { init } = require('./init');
 const { build } = require('./build');
 const { setConfig, showConfig } = require('./config');
-const { packageRoot, tutorialFile } = require('./utils');
+const { packageRoot, tutorialFile, normalizePlatform } = require('./utils');
 const theme = require('./theme');
 const update = require('./update');
 
@@ -37,7 +37,7 @@ function help() {
   L.push(`  ${paint('freedom dmg [--platform <plat>]', C.fg.cyan)}  ${dim('将已构建的 .app 打包为 .dmg（需 macOS）')}`);
   L.push(section('开发与更新'));
   L.push(`  ${paint('freedom dev [--port <n>|--url <u>] [--command <cmd>]', C.fg.cyan)} ${dim('dev server 联调壳窗口：HMR 热更，改码免重打包')}`);
-  L.push(`  ${paint('freedom keygen', C.fg.cyan)}              ${dim('生成应用自更新 ed25519 密钥对（公钥进配置，私钥发布方保管）')}`);
+  L.push(`  ${paint('freedom keygen [--dir <项目目录>]', C.fg.cyan)}  ${dim('生成应用自更新 ed25519 密钥对 + 每产物主密钥（公钥进配置，私钥发布方保管）')}`);
   L.push(`  ${paint('freedom manifest --artifact <产物> --url <下载地址> [--version x]', C.fg.cyan)} ${dim('产出签名的更新清单 latest.json')}`);
   L.push(section('外观'));
   L.push(`  ${paint('freedom titlebar <native|frameless>', C.fg.cyan)} ${dim('一键切换标题栏策略')}`);
@@ -56,6 +56,11 @@ function help() {
   L.push(`  ${paint('freedom skill install --agent <key|all> [--dry-run] [--skills-dir <path>]', C.fg.cyan)} ${dim('把 Freedom 使用技能装入 agent 的 skills 目录')}`);
   L.push(`  ${paint('freedom mcp install --agent <key|all> [--dry-run] [--config <path> --format json|toml|yaml]', C.fg.cyan)} ${dim('把 Freedom MCP 服务写入 agent 的 MCP 配置（幂等合并、写前 .bak 备份）')}`);
   L.push(`  ${paint('freedom mcp serve', C.fg.cyan)}        ${dim('stdio MCP 服务本体（一般由 agent 自动拉起，无需手敲）')}`);
+  L.push(section('工具链'));
+  L.push(`  ${paint('freedom toolchain', C.fg.cyan)}                ${dim('探测 Go / Rust / C++ 工具链是否就位（已配置好则走缓存、不重复探测）')}`);
+  L.push(`  ${paint('freedom toolchain install [go,rust,cpp|missing] [--apply]', C.fg.cyan)} ${dim('缺失时自动安装；缺省只打印命令，--apply 才真跑（联网 + 提权）')}`);
+  L.push(`  ${paint('freedom toolchain optimize [--apply]', C.fg.cyan)} ${dim('自动优化配置：Go GOPROXY 镜像、cargo 源换 rsproxy（幂等 + .bak）')}`);
+  L.push(`  ${paint('freedom toolchain status --refresh', C.fg.cyan)}  ${dim('强制重新探测并刷新缓存（默认缓存 7 天，PATH 变更即失效）')}`);
   L.push(section('版本'));
   L.push(`  ${paint('freedom version', C.fg.cyan)}             ${dim('显示版本并检测最新版本')}`);
   L.push(`  ${paint('freedom update', C.fg.cyan)}              ${dim('检查新版本并立即自动更新')}`);
@@ -154,7 +159,7 @@ async function run(argv) {
       if (home && !home.startsWith('--')) process.env.FREEDOM_AGENT_HOME = path.resolve(home.replace(/^--home=/, ''));
       if (!sub || sub === 'list') return require('./agents').printMatrix();
       if (sub !== 'install') {
-        console.error(`${err(`未知 agents 子命令：${sub}`)} ${dim('可用：list / install --what <mcp|skill> --agent <key|all> [--dry-run]')}`);
+        console.error(`${err(`未知 agents 子命令：${sub}`)} ${dim('可用：list / install --what <mcp|skill> --agent <key|all> [--dry-run] [--force]')}`);
         return 1;
       }
       const wi = flags.indexOf('--what');
@@ -166,6 +171,10 @@ async function run(argv) {
       return await runAgents(what === 'skill' ? 'skill' : 'mcp', ['install', ...flags]);
     }
 
+    case 'toolchain':
+    case 'tc':
+      return toolchainCommand(rest);
+
     case 'skill':
     case 'mcp':
       return await runAgents(cmd, rest);
@@ -220,8 +229,12 @@ async function run(argv) {
 
     case 'keygen': {
       const { keygen } = require('./release');
+      // --dir 必须生效：忽略它会把密钥 mint 到当前目录，之后在项目里 build 只会在
+      // 一个从未存在的文件名下找主密钥（报"缺每产物主密钥"，用户无从下手）。
+      const di = rest.indexOf('--dir');
+      const dir = di >= 0 && rest[di + 1] && !rest[di + 1].startsWith('--') ? rest[di + 1] : process.cwd();
       try {
-        console.log(await keygen({ dir: process.cwd(), force: rest.includes('--force') }));
+        console.log(await keygen({ dir, force: rest.includes('--force') }));
       } catch (e) {
         console.error(`${err(e.message)}`);
         return 1;
@@ -462,21 +475,21 @@ async function runShell(rest) {
     case 'download': {
       const plat = rest[1];
       if (!plat) {
-        console.error(`${err('用法：')}${paint('freedom shell download <win-x64|darwin-arm64|linux-x64|linux-arm64>', C.fg.cyan)}`);
+        console.error(`${err('用法：')}${paint('freedom shell download <win|mac|linux|all 或 win-x64 / darwin-arm64 / linux-x64 / linux-arm64>', C.fg.cyan)}`);
         return 1;
       }
       const dest = await downloadShell(plat);
-      console.log(`${ok('已下载')} ${paint(plat, C.fg.magenta, C.bold)} ${dim('壳：')}${paint(dest, C.fg.white)}`);
+      console.log(`${ok('已下载')} ${paint(normalizePlatform(plat) || plat, C.fg.magenta, C.bold)} ${dim('壳：')}${paint(dest, C.fg.white)}`);
       return 0;
     }
     case 'build': {
       const plat = rest[1];
       if (!plat) {
-        console.error(`${err('用法：')}${paint('freedom shell build <win-x64|darwin-arm64|linux-x64|linux-arm64>', C.fg.cyan)}`);
+        console.error(`${err('用法：')}${paint('freedom shell build <win|mac|linux 或 win-x64 / darwin-arm64 / linux-x64 / linux-arm64>', C.fg.cyan)}`);
         return 1;
       }
       const dest = buildShell(plat);
-      console.log(`${ok('已编译')} ${paint(plat, C.fg.magenta, C.bold)} ${dim('壳：')}${paint(dest, C.fg.white)}`);
+      console.log(`${ok('已编译')} ${paint(normalizePlatform(plat) || plat, C.fg.magenta, C.bold)} ${dim('壳：')}${paint(dest, C.fg.white)}`);
       console.log(`  ${dim('提示：壳已预编译随包分发，一般无需本地编译。')}`);
       return 0;
     }
@@ -499,7 +512,7 @@ async function runAgents(cmd, rest) {
     return await require('./mcp').serve();
   }
   if (sub !== 'install') {
-    console.error(`${err('用法：')}${paint(`freedom ${cmd} install --agent <key|all> [--dry-run]`, C.fg.cyan)}`);
+    console.error(`${err('用法：')}${paint(`freedom ${cmd} install --agent <key|all> [--dry-run] [--force]`, C.fg.cyan)}`);
     if (cmd === 'mcp') {
       console.error(`     ${paint('freedom mcp serve', C.fg.cyan)} ${dim('（stdio MCP 服务，通常由 agent 配置自动拉起）')}`);
     }
@@ -515,6 +528,7 @@ async function runAgents(cmd, rest) {
       config: optVal('config'),
       format: optVal('format'),
       skillsDir: optVal('skills-dir'),
+      force: rest.includes('--force'),
       home: optVal('home'),
     });
     return r.code;
@@ -563,6 +577,89 @@ async function runDmg(rest) {
   }
 }
 
+// freedom toolchain —— 工具链自动装配：探测（带缓存）/ 安装（默认只打印）/ 配置优化。
+function toolchainCommand(rest) {
+  const tc = require('./toolchain');
+  const flags = new Set();
+  const pos = [];
+  let homeArg;
+  for (let i = 0; i < rest.length; i++) {
+    const a = rest[i];
+    if (a === '--home') { homeArg = rest[++i]; continue; }
+    if (a.startsWith('--home=')) { homeArg = a.slice('--home='.length); continue; }
+    if (a.startsWith('--')) { flags.add(a); continue; }
+    pos.push(a);
+  }
+  const sub = pos[0];
+  const opts = {
+    refresh: flags.has('--refresh'),
+    apply: flags.has('--apply'),
+    home: homeArg ? path.resolve(homeArg) : undefined,
+  };
+  const out = [];
+  switch (sub) {
+    case undefined:
+    case 'status': {
+      const { rows, skipped } = tc.status(opts);
+      for (const r of rows) {
+        if (r.ok) out.push(`  ${ok('已就位')} ${paint(r.key, C.fg.cyan, C.bold)} ${dim(r.version + '  ' + r.exe)} ${r.cached ? dim('[缓存]') : dim('[探测]')}`);
+        else out.push(`  ${err('缺失')}   ${paint(r.key, C.fg.cyan, C.bold)} ${dim(r.reason || '未检测到')} ${dim('· ' + r.why)}`);
+      }
+      out.push('');
+      const cacheNote = skipped ? `本轮跳过 ${skipped} 次探测（缓存命中，PATH 变更或 --refresh 即失效）` : '本轮全部实探';
+      out.push(['  ', dim(cacheNote) + '；', dim('安装：'), paint('freedom toolchain install missing', C.fg.cyan),
+        dim('（默认只打印命令，加 --apply 才执行）')].join(' '));
+      console.log(out.join('\n'));
+      return 0;
+    }
+    case 'install': {
+      const res = tc.install(pos[1] || 'missing', opts);
+      for (const r of res.rows) {
+        if (r.action === 'skip') console.log(`  ${ok(`[${r.key}] 已就位`)} ${dim(r.version || '')}`);
+        else if (r.action === 'manual') console.log(`  ${warn(`[${r.key}] 本平台无自动安装方式`)} ${dim(r.note)}`);
+        else if (r.action === 'plan') {
+          console.log(`  ${warn(`[${r.key}] 待安装`)} ${dim('以下为将执行的命令：')}`);
+          for (const c of r.commands) console.log(`    ${paint(c, C.fg.white)}`);
+        } else if (r.action === 'applied') {
+          for (const s of r.ran) {
+            console.log(`  ${s.status === 0 ? ok('[完成]') : err('[失败]')} ${dim(s.command)} ${s.status === 0 ? '' : err(`退出码 ${s.status}`)}`);
+          }
+        }
+      }
+      if (res.dryRun) {
+        console.log('');
+        console.log(`  ${tip('确认无误后加 --apply 真正执行安装（联网、可能需要管理员权限）。')}`);
+      } else {
+        console.log(`  ${dim('安装后若 PATH 未刷新，重新打开终端或执行 freedom toolchain status --refresh。')}`);
+      }
+      return res.rows.some((r) => r.action === 'applied' && r.ran.some((s) => s.status !== 0)) ? 1 : 0;
+    }
+    case 'optimize': {
+      const res = tc.optimize(opts);
+      for (const r of res.rows) {
+        if (r.action === 'skip') console.log(`  ${ok(`[${r.key}] 无需优化`)} ${dim(r.note)}`);
+        else if (r.action === 'blocked') console.log(`  ${warn(`[${r.key}] 跳过`)} ${dim(r.note)}`);
+        else if (r.action === 'report') console.log(`  ${r.ok ? ok(`[${r.key}] 已就位`) : warn(`[${r.key}] 未就位`)} ${dim(r.note)}`);
+        else if (r.action === 'plan') {
+          console.log(`  ${warn(`[${r.key}] 将优化`)} ${dim(r.from ? `当前：${r.from}` : '')}`);
+          for (const c of (r.commands || [])) console.log(`    ${paint(c, C.fg.white)}`);
+          if (r.file) console.log(`    ${dim(r.file)} ${dim('（幂等合并，写前 .bak）')}`);
+        } else if (r.action === 'applied') {
+          console.log(`  ${ok(`[${r.key}] 已优化`)} ${dim(r.to || r.file || '')}${r.backup ? dim('  备份 ' + r.backup) : ''}${r.status ? err(`  退出码 ${r.status}`) : ''}`);
+        }
+      }
+      if (res.dryRun) console.log(`\n  ${tip('以上为拟写入内容，未改动任何文件；加 --apply 生效（写入前自动 .bak 备份）。')}`);
+      return 0;
+    }
+    case 'clear':
+      console.log(tc.clearCache(opts) ? `${ok('缓存已清除，下一次 status 将重新探测。')}` : `${dim('无缓存可清除。')}`);
+      return 0;
+    default:
+      console.error(`${err(`未知 toolchain 子命令：${sub}`)} ${dim('可用：status / install [go,rust,cpp|missing] / optimize / clear')}`);
+      return 1;
+  }
+}
+
 function openBrowser(file) {
   const { spawn } = require('child_process');
   const plat = process.platform;

package/lib/release.js

@@ -15,29 +15,45 @@ const fsp = fs.promises;
 const path = require('path');
 
 const { loadConfig } = require('./utils');
+const { ensureKeysIgnored, signingKeyPath, productKeyPath, createProductKey } = require('./security');
 
 function manifestPayload(version, url, sha256hex) {
   return Buffer.from(`freedom-update-v1\n${version}\n${url}\n${String(sha256hex).toLowerCase()}`, 'utf8');
 }
 
-function keysPath(dir) {
-  return path.join(dir, '.freedom', 'keys', 'update_ed25519');
-}
-
+// keygen 一次性 mint 发布方的两把资产：
+//   1) ed25519 签名私钥 —— 签自更新清单（latest.json）与产物完整性清单（.integrity v3）；
+//   2) 每产物主密钥 .freedom/keys/<app>.key —— high 模式容器 KEK 的输入（FRDM3）。
+// 两把都落在 .freedom/keys/（ensureKeysIgnored 保证不入库），都属于"丢了就没法再为该应用
+// 重签产物"的发布方资产，故 keygen 的输出把两个路径都念给用户。
 async function keygen(opts = {}) {
   const dir = path.resolve(opts.dir || '.');
-  const privPath = opts.out ? path.resolve(opts.out) : keysPath(dir);
+  const privPath = opts.out ? path.resolve(opts.out) : signingKeyPath(dir);
   if (fs.existsSync(privPath) && !opts.force) {
     throw new Error(`私钥已存在：${privPath}（重新生成请 --force，注意旧公钥签发的客户端将收不到新签名）`);
   }
   const { publicKey, privateKey } = crypto.generateKeyPairSync('ed25519');
   await fsp.mkdir(path.dirname(privPath), { recursive: true });
+  ensureKeysIgnored(dir); // 只写提示语不算保护：一次 git add -A 就能把私钥推上远端
   await fsp.writeFile(privPath, privateKey.export({ type: 'pkcs8', format: 'pem' }), { mode: 0o600 });
   const rawPub = publicKey.export({ type: 'spki', format: 'der' }).subarray(-32); // SPKI 尾部 32 字节即原始公钥
   const pubB64 = rawPub.toString('base64');
+  // 应用标识必须与 build 同源（cfg.name），否则 high 构建按名字找主密钥会找不到。
+  let appName = path.basename(dir);
+  try {
+    appName = (await loadConfig(dir)).name || appName;
+  } catch { /* 非项目目录：按目录名 mint；在项目内重跑 keygen 即可 */ }
+  const masterPath = productKeyPath(dir, appName);
+  // 已有主密钥就沿用：老项目升级 CLI 后重跑 keygen 只为补这把钥匙，不该被迫 --force 轮换签名私钥。
+  let minted = '沿用';
+  if (!fs.existsSync(masterPath)) {
+    createProductKey(dir, appName);
+    minted = '新生成';
+  }
   const lines = [
     `私钥已生成：${privPath}（发布方资产，勿入库/勿分发）`,
     `公钥（base64）：${pubB64}`,
+    `每产物主密钥（${minted}）：${masterPath}（high 模式产物加密所需，应用名 ${appName}）`,
     '用法：freedom.config.js 中设置',
     `  updater: { manifestURL: 'https://your.host/latest.json', publicKey: '${pubB64}' }`,
     '发版时：freedom manifest 生成签名 latest.json。',
@@ -71,7 +87,7 @@ async function manifest(opts = {}) {
     || (() => { try { return require(path.join(dir, 'package.json')).version; } catch { return null; } })();
   if (!version) throw new Error('版本未定：--version / freedom.config.js 的 version / 项目 package.json 的 version 均缺失');
 
-  const keyPath = opts.key ? path.resolve(opts.key) : keysPath(dir);
+  const keyPath = opts.key ? path.resolve(opts.key) : signingKeyPath(dir);
   if (!fs.existsSync(keyPath)) {
     throw new Error(`私钥不存在：${keyPath}，先运行 freedom keygen`);
   }